BKDR_TELEBOT.A

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_DLOAD.TEYJQ

インストール

マルウェアは、以下のフォルダを追加します。

• %User Temp%\_MEI{random numbers}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %User Temp%\_MEI{random numbers}\_ctypes.pyd
• %User Temp%\_MEI{random numbers}\_hashlib.pyd
• %User Temp%\_MEI{random numbers}\_socket.pyd
• %User Temp%\_MEI{random numbers}\_ssl.pyd
• %User Temp%\_MEI{random numbers}\bz2.pyd
• %User Temp%\_MEI{random numbers}\Crypto.Cipher._AES.pyd
• %User Temp%\_MEI{random numbers}\Crypto.Hash._SHA256.pyd
• %User Temp%\_MEI{random numbers}\Crypto.Random.OSRNG.winrandom.pyd
• %User Temp%\_MEI{random numbers}\Crypto.Util._counter.pyd
• %User Temp%\_MEI{random numbers}\Microsoft.VC90.CRT.manifest
• %User Temp%\_MEI{random numbers}\msvcm90.dll
• %User Temp%\_MEI{random numbers}\msvcp90.dll
• %User Temp%\_MEI{random numbers}\msvcr90.dll
• %User Temp%\_MEI{random numbers}\{random filename}.exe.manifest
• %User Temp%\_MEI{random numbers}\pyexpat.pyd
• %User Temp%\_MEI{random numbers}\python27.dll
• %User Temp%\_MEI{random numbers}\pywintypes27.dll
• %User Temp%\_MEI{random numbers}\requests\cacert.pem
• %User Temp%\_MEI{random numbers}\select.pyd
• %User Temp%\_MEI{random numbers}\unicodedata.pyd
• %User Temp%\_MEI{random numbers}\win32api.pyd
• %User Temp%\_MEI{random numbers}\win32pipe.pyd
• %User Temp%\_MEI{random numbers}\win32wnet.pyd

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
FlashPlayerPlugin = "%User Temp%\lsass.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• up - Download File
• ss - Take screenshot
• logout - Log out
• cmd - Executes shell command w/ feedback
• cmdd - Executes shell command w/o feedback
• getdoc - Upload any specified files from affected system
• forcecheckin - Get OS information
• time - Set sleep time
• getphoto - Upload specified photo from affected system

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• https://{BLOCKED}i.{BLOCKED}ram.org/bot{token}/{api_name}?{param}
  where:
  {token} - bot user ID of telegram.org
  {api_name} - it use any of the following API names of telegram.org:
  • sendMessage
  • sendDocument
  • sendPhoto
  • getFile
  • getUpdates
  {param} - parameters needed of API (may not exist)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\~JF{random}.dat ← updated copy of itself

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

情報漏えい

マルウェアは、以下の情報を収集します。

• OS Platform Version
• Process Architecture
• Admintrator Privileges

その他

マルウェアは、以下のファイルを作成します。

• %User Temp%\~DT{random}.txt ← log file; deleted afterwards

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)